Kielek

**Nome do Software Vulnerável e Versões Afetadas** OpenTelemetry.OpAmp.Client versões anteriores a 0.2.0-alpha.1 **Description** Ao receber respostas do servidor OpAMP via HTTP, o cliente aloca um buffer ilimitado para ler todos os bytes do servidor, sem um limite superior para a quantidade de bytes consumidos. Isso ocorre porque os componentes de transporte HTTP utilizam a função `ReadAsByteArrayAsync()` para copiar o `HttpResponseMessage.Content` em um array de bytes, permitindo a leitura ilimitada de toda a mensagem de resposta HTTP. Se o servidor OpAMP configurado for controlado por um invasor ou se um invasor de rede realizar um ataque de Man-in-the-Middle (MitM), um corpo de resposta extremamente grande poderá levar à exaustão de memória e a uma condição de negação de serviço no aplicativo consumidor. **Recommendations** Atualizar para a versão 0.2.0-alpha.1.

**Nome do Software Vulnerável e Versões Afetadas** OpenTelemetry.Exporter.Zipkin versões anteriores a 1.15.3 **Descrição** O cache de endpoint remoto no exportador Zipkin aceita crescimento ilimitado de chaves derivadas de atributos de span. Em cenários de alta cardinalidade — situações com um grande número de valores únicos — um processo que utiliza a exportação Zipkin para spans de cliente ou produtor pode apresentar crescimento contínuo de memória sob valores de endpoint remoto únicos e sustentados, o que aumenta o uso de memória ao longo do tempo e degrada a disponibilidade. **Recomendações** Atualize para a versão 1.15.3.

**Nome do Software Vulnerável e Versões Afetadas** OpenTelemetry dotnet versões 1.13.1 a 1.15.1 **Descrição** Ao exportar telemetria via gRPC usando o OpenTelemetry Protocol (OTLP), o exportador pode analisar um trailer `grpc-status-details-bin` fornecido pelo servidor durante a manipulação de tentativas de reenvio. Um trailer malformado pode codificar um campo protobuf delimitado por comprimento extremamente grande (um método de serialização de dados estruturados) que é usado diretamente para alocação. Isso ocorre porque a função `DecodeBytes()` em `GrpcStatusDeserializer` decodifica um comprimento varint do protobuf e aloca um array de bytes sem validar os limites em relação ao tamanho do payload restante. Um coletor malicioso ou comprometido, ou um atacante man-in-the-middle, poderia retornar um payload manipulado para forçar a alocação excessiva de memória, levando à exaustão de memória e a um potencial negação de serviço (DoS), causando instabilidade ou travamento do processo. **Recomendações** Atualizar para a versão 1.15.2.

**Name of the Vulnerable Software and Affected Versions** OpenTelemetry.Api versões 0.5.0-beta.2 até 1.15.2 OpenTelemetry.Extensions.Propagators versões 1.3.1 até 1.15.2 **Description** Detalhes de implementação do código de processamento de baggage, B3 e Jaeger nos pacotes NuGet OpenTelemetry.Api e OpenTelemetry.Extensions.Propagators podem alocar memória excessiva durante a análise. Isso ocorre porque certos métodos alocam arrays intermediários ansiosamente antes de aplicar os limites de tamanho, e a função `BaggagePropagator.Inject<T>()` pode não impor os limites de comprimento quando o baggage injetado contém apenas um item. Esse comportamento pode levar a uma negação de serviço (DoS) no aplicativo consumidor ao processar cabeçalhos de propagação excessivamente grandes ou malformados. As funções afetadas incluem `BaggagePropagator.Extract<T>()`, `BaggagePropagator.Inject<T>()`, `B3Propagator.Extract<T>()` e `JaegerPropagator.Extract<T>()`. **Recommendations** Atualizar o OpenTelemetry.Api para a versão 1.15.3. Atualizar o OpenTelemetry.Extensions.Propagators para a versão 1.15.3. Configurar limites apropriados para cabeçalhos de requisição HTTP. Desativar a propagação de baggage ou de rastreamento como uma solução temporária.

**Name of the Vulnerable Software and Affected Versions** OpenTelemetry.Exporter.Jaeger (versões afetadas não especificadas) **Description** Este problema permite a pressão sustentada de memória quando o dimensionamento da lista agrupada interna cresce com base em um conjunto de spans ou tags observado como grande e esse tamanho ampliado é reutilizado para alocações subsequentes. Em ambientes onde os atributos ou eventos de telemetria podem ser influenciados por entradas não confiáveis e os limites são aumentados em relação aos padrões, entradas de telemetria de alta cardinalidade ou influenciadas por atacantes podem aumentar o consumo de memória, levando potencialmente à instabilidade do processo ou negação de serviço. **Recommendations** Utilize exportadores mantidos, como o formato OpenTelemetry Protocol (OTLP), em vez do exportador Jaeger.